過去企業通常會采用防火墻，作為安全保障的第一道防線。當時的防火墻只是在第三層(網絡層)有效的阻斷一些數據包，而隨著web應用的功能越來越豐富的時候，Web服務器因為其強大的計算能力，處理性能，蘊含較高的價值，成為主要的被攻擊目標(第五層應用層)。而服務器監控時，傳統防火墻在阻止利用應用程序漏洞進行的攻擊方面，卻沒有辦法。在此背景下，waf(Web
Application Firewall)應運而生。
WAF和防火墻的區別：
waf稱為web應用防火墻，是通過執行一系列針對HTTP,HTTPS的安全策略，來專門對web應用，提供保護的一款產品。WAF初期是基于規則防護的防護設備;基于規則的防護，可以提供各種web應用的安全規則，waf生產商去維護這個規則庫，并實時為其更新，用戶按照這些規則，可以對應用進行全方面的保護。
但隨著攻防雙方的不斷過招，攻擊者也摸清了，這一套傳統的防御體系，隨著使用各種各樣的繞過技巧，打破了這套防線，同上這套防護思路，還有一個天生的缺陷，就是難以攔截未知的攻擊。因此技術的革新也是必然的。在這幾年WAF領域出現了很多新的技術，譬如通過數據建模學習企業自身業務，從而阻攔與其業務特征不匹配的請求;或者使用智能語音分析引擎，從語音本質去了解。無論是用已知漏洞攻擊利用程序，還是未知攻擊，都可以精準的識別。
個人和中小企業站點是否需要WAF?
在網絡安全法規范中：單位或個人建立、運營網站，則有義務保證網站運行正常。如果網站被攻擊、被入侵，散播出不良言論、帶來不良影響、或網站以不良形象示人。那么可能會給國家、社會或他人，帶來不良影響。如果發生此種情況，相關單位、責任人需承擔相應的法律責任。
可想而知，網站不做防護，違法了、后果很嚴重：相關負責人可能會被罰款、處罰，相關企業可能被停業、吊銷營業執照。這還不考慮網站防護的真實需求，只是從法律法規層面來看而已?？赡芎芏嗳瞬灰詾槿?，僥幸心理使然，認為只是個規定而已，不會查到自己頭上。
是嗎?不!國家是認真的，各地已相繼展開等保核查工作，公安、網安已經出動。也就是說：無論是出于真實的安全需求、保護網站安全，還是為了符合法律要求，做為網站的運營者，都必須要滿足等保要求、都必須給網站做安全防護了。
沒有WAF的IDC會怎么樣?
坦言：會相當被動。以往，沒有等保要求的情況下，很多客戶是不在意安全問題的，許多小中企業只是架個企業靜態官網，做什么安防呢，沒那資金預算，也不在意安全問題：被黑了、網站被改了、掛馬了?大不了重上傳一下網站，無所謂的事。
但現在不一樣了，如前文所述，如果發現上述問題，問題就大了。舉例而言：就算是個小網站，沒有太多的數據、太多的敏感信息，如果網站被修改，網頁出現了不良言論、不法言論、不實消息、色情等等，在公安、網安的視角：會造成不良的社會影響、甚至對國家造成負面影響等。
如是大網站，數據泄露、敏感信息流出，更是非常嚴重的問題，誰知是不是境外勢力的故意滲透、誰知道會被獲取什么信息、誰知道數據會被用于什么方面：釣魚?電信詐騙……所以為防患于未然，網絡安全法、等保要求：網站防護，必須的!若不執行，就是公安、網安上門。
那網站服務器如何添加防護呢?
當然是上WAF(WEB應用防火墻：Web Application Firewall)。如何上WAF?WAF有三種：軟件、云、硬件。
1、硬件WAF：就是買臺硬件WAF，接在自己的WEB服務器之前。但一般中小企業、個人是沒有自己的服務器的，都是用IDC的云服務器、虛擬主機，這里就不多講了，不是本文主題。
2、軟件WAF：就是自己在服務器上部署軟件WAF，需要自己動手豐衣足食。
3、云WAF：就是用IDC(云服務器、虛擬主機的提供方)的云WAF功能或平臺。
IDC與云WAF密切相關，國內絕大多數的網站運營者，都使用IDC提供的網站服務。國內外大大小小的IDC有數百家?？蛻暨x擇其WEB服務后，可以方便的使用其提供的云WAF，滿足真實防護需求和等保要求(不考慮價格因素的情況下，如不愿意承受其高價格，也可自己部署軟件WAF，如：ShareWAF)。
但更多的IDC是價格更為實惠的區域性的中小IDC。這些IDC通常是沒有WAF功能的，究其原因：很多IDC是代理商，沒有太多技術實力，更別說門檻很高的WAF產品研發能力，所以無法提供WAF功能，再一個重要原因：還未有足夠的認識和重視。
在這種情況之下，客戶對自身網站的防護需求，是真實的，是剛需。如果服務器供應商不能提供WAF功能或云WAF，客戶怎么辦?
上一篇：
請查收，100M新加坡bgp線路云主機
下一篇：
新加坡直連vps具備的四大能力
